[语言编程类] 大神论坛逆向脱壳分析基础学习笔记十四汇编嵌套if else

kay2kay · 发表于 2021-03-14 18:24

本帖最后由 kay2kay 于 2021-03-14 18:24 编辑

本文为本人的滴水逆向破解脱壳学习笔记之一，为本人对以往所学的回顾和总结，可能会有谬误之处，欢迎大家指出。
陆续将不断有笔记放出,希望能对想要入门的萌新有所帮助，一起进步

所有笔记链接：

if else嵌套

这次来研究if else嵌套在汇编中的表现形式，本次以获取三个数中最大的数这个函数为例子，分析if else的汇编形式

求三个数中的最大值

首先贴上代码：

#include "stdafx.h"

int result=0;
int getMax(int i,int j,int k){
        if(i>j){
                if(i>k){
                        return i;
                }else{
                        return k;
                }

        }else{
                if(j>k){
                        return j;
                }else{
                        return k;
                }
        }
}

int main(int argc, char* argv[])
{
        result=getMax(1,2,3);
        printf("%d\n",result);
        result=getMax(1,3,2);
        printf("%d\n",result);
        result=getMax(2,1,3);
        printf("%d\n",result);
        result=getMax(2,3,1);
        printf("%d\n",result);
        result=getMax(3,1,2);
        printf("%d\n",result);
        result=getMax(3,2,1);
        printf("%d\n",result);
        return 0;
}

先验证执行的结果是正确的：

确认可以函数是可以取出三个数的最大值的，于是开始分析该函数

为方便观看，将多余的验证删去，直接改为

getMax(1,2,3);

汇编代码

然后观察汇编代码

函数外部

28:       getMax(1,2,3);
0040D7C8   push        3
0040D7CA   push        2
0040D7CC   push        1
0040D7CE   call        @ILT+10(func) (0040100f)
0040D7D3   add         esp,0Ch

依次压入参数，然后调用函数，最后再堆栈外平衡，重点在函数内部，进去看看，还不了解堆栈的可以回顾先前的笔记

函数内部

7:    int getMax(int i,int j,int k){
0040D760   push        ebp
0040D761   mov         ebp,esp
0040D763   sub         esp,40h
0040D766   push        ebx
0040D767   push        esi
0040D768   push        edi
0040D769   lea         edi,[ebp-40h]
0040D76C   mov         ecx,10h
0040D771   mov         eax,0CCCCCCCCh
0040D776   rep stos    dword ptr [edi]
8:        if(i>j){
0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax+32h (0040d792)
9:            if(i>k){
0040D780   mov         ecx,dword ptr [ebp+8]
0040D783   cmp         ecx,dword ptr [ebp+10h]
0040D786   jle         getMax+2Dh (0040d78d)
10:               return i;
0040D788   mov         eax,dword ptr [ebp+8]
0040D78B   jmp         getMax+42h (0040d7a2)
11:           }else{
12:               return k;
0040D78D   mov         eax,dword ptr [ebp+10h]
0040D790   jmp         getMax+42h (0040d7a2)
13:           }
14:
15:       }else{
16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]
0040D795   cmp         edx,dword ptr [ebp+10h]
0040D798   jle         getMax+3Fh (0040d79f)
17:               return j;
0040D79A   mov         eax,dword ptr [ebp+0Ch]
0040D79D   jmp         getMax+42h (0040d7a2)
18:           }else{
19:               return k;
0040D79F   mov         eax,dword ptr [ebp+10h]
20:           }
21:       }
22:   }
0040D7A2   pop         edi
0040D7A3   pop         esi
0040D7A4   pop         ebx
0040D7A5   mov         esp,ebp
0040D7A7   pop         ebp
0040D7A8   ret

函数内部有不少代码是用来保护现场初始化堆栈恢复现场的，这里将其过滤掉，看判断语句：

判断语句

8:        if(i>j){
0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax+32h (0040d792)
9:            if(i>k){
0040D780   mov         ecx,dword ptr [ebp+8]
0040D783   cmp         ecx,dword ptr [ebp+10h]
0040D786   jle         getMax+2Dh (0040d78d)
10:               return i;
0040D788   mov         eax,dword ptr [ebp+8]
0040D78B   jmp         getMax+42h (0040d7a2)
11:           }else{
12:               return k;
0040D78D   mov         eax,dword ptr [ebp+10h]
0040D790   jmp         getMax+42h (0040d7a2)
13:           }
14:
15:       }else{
16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]
0040D795   cmp         edx,dword ptr [ebp+10h]
0040D798   jle         getMax+3Fh (0040d79f)
17:               return j;
0040D79A   mov         eax,dword ptr [ebp+0Ch]
0040D79D   jmp         getMax+42h (0040d7a2)
18:           }else{
19:               return k;
0040D79F   mov         eax,dword ptr [ebp+10h]
20:           }
21:       }
22:   }

参数分析

参数	参数内容	存储参数的地址
第一个参数	1	ebp+8
第二个参数	2	ebp+0xC
第三个参数	3	ebp+0x10

i>j

先来看看i>j的反汇编语句

0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax+32h (0040d792)

比较第一个参数和第二个参数

jle：jump less equal，小于等于则跳转（有符号数）

跳转地址：0040d792

16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]

可以分析出，如果第一个参数小于等于第二个参数则跳转到0040D792，进行j>k的判断

如果没有跳转则继续执行下面的i>k判断

i>k

9:            if(i>k){
0040D780   mov         ecx,dword ptr [ebp+8]
0040D783   cmp         ecx,dword ptr [ebp+10h]
0040D786   jle         getMax+2Dh (0040d78d)

比较第一个和第三个参数

jle：jump less equal，小于等于则跳转（有符号数）

跳转地址：0040d78d

11:           }else{
12:               return k;
0040D78D   mov         eax,dword ptr [ebp+10h]
0040D790   jmp         getMax+42h (0040d7a2)

可以分析出，如果第一个参数小于等于第三个参数则跳转到0040D78D，并将第三个参数赋值给eax作为返回值，这条线路为(k>i>j)

否则执行返回指令，将第一个参数赋给eax作为返回值，这条线路为(i>j且i>k)

10:               return i;
0040D788   mov         eax,dword ptr [ebp+8]
0040D78B   jmp         getMax+42h (0040d7a2)

j>k

16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]
0040D795   cmp         edx,dword ptr [ebp+10h]
0040D798   jle         getMax+3Fh (0040d79f)

比较第二个和第三个参数

jle：jump less equal，小于等于则跳转（有符号数）

跳转地址：0040d79f

18:           }else{
19:               return k;
0040D79F   mov         eax,dword ptr [ebp+10h]

可以分析出，如果第二个参数小于等于第三个参数则跳转到0040D79F，并将第三个参数赋值给eax作为返回值，这条线路为(i<=j<=k)

否则返回执行返回命令，将第二个参数赋值给eax作为返回值，这条线路为(i<=j且k<=j)

17:               return j;
0040D79A   mov         eax,dword ptr [ebp+0Ch]
0040D79D   jmp         getMax+42h (0040d7a2)

总结

不难发现，三个数求最大值，只需两两比较就可以得出结果

分析if else的关键在于观察涉及的参数和jcc语句

此案例中就是直接采取了cmp 外加 jle来进行分支的选择和跳转

因为不符合条件的才要跳转走，所以在条件比较中，是大于的比较如i>j，所使用的汇编为jle 小于等于的比较

不按套路比较

此次案例并不能代表所有情况，实际分析要具体看情况来采取分析，有的程序可能就是不按套路出牌，先看看按套路出牌的程序，然后我们自己来模拟个不按套路的

正常套路

拿两个数的比较为例

#include "stdafx.h"
int getMax2(int i,int j){
        if(i>j){
                return i;
        }else{
                return j;
        }
}
int main(int argc, char* argv[])
{
        getMax2(1,2);
        return 0;
}

先看一般的汇编代码：

9:        if(i>j){
0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax2+25h (0040d785)
10:           return i;
0040D780   mov         eax,dword ptr [ebp+8]
0040D783   jmp         getMax2+28h (0040d788)
11:       }else{
12:           return j;
0040D785   mov         eax,dword ptr [ebp+0Ch]
13:       }
14:   }

依旧是采用cmp 和 jle来进行判断，和套路一致

不按套路

完整代码

#include "stdafx.h"
int __declspec(naked) myGetMax(int i,int j){
        __asm{                                
                                //保留调用前堆栈
                push ebp
                //提升堆栈
                mov ebp,esp
                sub esp,0x40
                //保护现场
                push ebx
                push esi
                push edi
                //初始化提升的堆栈，填充缓冲区
                mov eax,0xCCCCCCCC
                mov ecx,0x10
                lea edi,dword ptr ds:[ebp-0x40]
                rep stosd
                //函数核心功能

                //取出参数
                mov eax,dword ptr ds:[ebp+8]
                //比较参数
                cmp eax,[ebp+0xC]
                jge _ret
                mov eax,[ebp+0xC]
_ret:
                //恢复现场
                pop edi
                pop esi
                pop ebx
                //降低堆栈
                mov esp,ebp
                pop ebp                
                //返回
                ret 
        }
}
int main(int argc, char* argv[])
{

        int result=myGetMax(1,2);

        printf("%d\n",result);

        result=myGetMax(4,3);

        printf("%d\n",result);

        return 0;
}

功能代码分析

这里截取出我们自己实现比较的那段代码

//函数核心功能
                //取出参数
                mov eax,dword ptr ds:[ebp+8]
                //比较参数
                cmp eax,[ebp+0xC]
               jge _ret
               mov eax,[ebp+0xC]
_ret:
                //恢复现场
                pop edi
                pop esi
                pop ebx
                //降低堆栈
                mov esp,ebp
                pop ebp                
                //返回
                ret

首先我们这里将第一个参数赋值给eax

然后比较eax和第二个参数，也就是比较第一个参数和第二个参数

这边使用的就不是jle而是jge了

jge：jump greater equal，即大于等于则跳转

前面已经将第一个参数赋值给了eax，而eax又是作为返回值来传递的

当第一个参数大于等于第二个参数时，就可以直接返回了

如果不是则不跳转，执行下面的将第二个参数赋值给eax作为返回值

这里注意到我在汇编中自己定义了一个段：_ret，来作为跳转的地址来使用

最后测试一下结果：

可以正确得到两个数中的最大值，完美O(∩_∩)O

		自动登录	找回密码
密码			快速注册

扫码赞助关闭

用户登录关闭

找回密码关闭

用户登录关闭

[语言编程类] 大神论坛逆向脱壳分析基础学习笔记十四汇编嵌套if else

更多逆向脱壳资源，请访问大神论坛

if else嵌套

求三个数中的最大值

汇编代码

函数外部

函数内部

判断语句

参数分析

i>j

i>k

j>k

总结

不按套路比较

正常套路

不按套路

完整代码

功能代码分析

举报关闭

评分关闭

可选评分理由:


	扫码赞助关闭微信赞助支付宝赞助微信扫一扫有你们的支持大神论坛会做得更好! 支付宝扫一扫有你们的支持大神论坛会做得更好!


	举报关闭请点击举报理由广告垃圾违规内容恶意灌水重复发帖其他请填写举报内容还可输入 200 个字符

扫码赞助 关闭

用户登录 关闭

找回密码 关闭

用户登录 关闭

[语言编程类] 大神论坛 逆向脱壳分析基础学习笔记十四 汇编嵌套if else

更多逆向脱壳资源，请访问 大神论坛

if else嵌套

求三个数中的最大值

汇编代码

函数外部

函数内部

判断语句

参数分析

i>j

i>k

j>k

总结

不按套路比较

正常套路

不按套路

完整代码

功能代码分析

举报 关闭

评分 关闭

可选评分理由:

扫码赞助关闭

用户登录关闭

找回密码关闭

用户登录关闭

[语言编程类] 大神论坛逆向脱壳分析基础学习笔记十四汇编嵌套if else

更多逆向脱壳资源，请访问大神论坛

举报关闭

评分关闭